La reentrada, los ataques de oráculo de precios y las vulnerabilidades en siete protocolos provocaron que el espacio de finanzas descentralizadas (DeFi) sangrara al menos USD 21 millones en criptomonedas en febrero.
Según la plataforma de análisis de datos centrada en DeFi, DefiLlama, uno de los más grandes del mes fue el ataque de reentrada de préstamos flash en Platypus Finance, que provocó la pérdida de $8.5 millones de dólares.
DefiLlama destacó otros seis hacks notables en el mes, el primero fue el ataque del oráculo de precios en BonqDAO el 1 de febrero.
BonqDAO: 1,7 millones de dólares
BonqDAO reveló a sus seguidores en una publicación del 1 de febrero que su protocolo Bonq estuvo expuesto a un ataque de Oracle que permitió al explotador manipular el precio del token AllianceBlock (ALBT).
El explotador aumentó el precio de ALBT y acuñó grandes cantidades de BEUR. Luego, el BEUR se cambió por otros tokens en Uniswap. Luego, el precio se redujo a casi cero, lo que desencadenó la liquidación de los tesoros de ALBT.
La firma de seguridad Blockchain PeckShield estimó las pérdidas en alrededor de $ 120 millones, sin embargo, más tarde se reveló que los piratas informáticos solo cobraron alrededor de $ 1 millón debido a la falta de liquidez en BonqDAO.
Protocolo de Orión: $3 millones
Solo un día después, el intercambio descentralizado Orion Protocol sufrió un pérdida de aproximadamente $ 3 millones el 2 de febrero a través de un ataque de reingreso, donde los atacantes usaron un contrato inteligente malicioso para drenar fondos de un objetivo con repetidas órdenes de retiro.
Hemos estado investigando este ataque tan sofisticado desde los minutos en que ocurrió. No reabriremos la función de depósito hasta que estemos seguros de que se ha solucionado el error, lo que solo sucederá después de pasar con éxito nuevas auditorías de las principales firmas de auditoría.
— Alexey Koloskov (@alexeykoloskov) 2 de febrero de 2023
El director ejecutivo de Orion Protocol, Alexey Koloskov, confirmó el ataque en ese momento y aseguró a todos: “Todos los fondos de los usuarios están seguros y protegidos”.
“Tenemos razones para creer que el problema no fue el resultado de ninguna deficiencia en nuestro código de protocolo central, sino que podría haber sido causado por una vulnerabilidad al mezclar bibliotecas de terceros en uno de los contratos inteligentes utilizados por nuestros corredores experimentales y privados. ,” él dijo.
Red dForce: 3,65 millones de dólares
La red dForce del protocolo DeFi fue otra víctima en febrero de un ataque de reingreso que resultó en pérdidas de alrededor de $ 3.65 millones.
En un 10 de febrero correo, dForce confirmó el exploit; sin embargo, en un giro, todos los fondos fueron devueltos cuando el hacker se presentó como un hacker de sombrero blanco.
2/5 Poco después del incidente, entablamos conversaciones con el explotador, quien se presentó como un whitehat. Hemos acordado ofrecer una recompensa y abandonaremos todas las investigaciones en curso y las acciones de aplicación de la ley.
— dForce (@dForcenet) 13 de febrero de 2023
“El 13 de febrero de 2023, los fondos explotados se devolvieron por completo a nuestra firma múltiple tanto en Arbitrum como en Optimism, un final perfecto para todos”, dijo dForce.
Finanzas ornitorrinco: $ 9,1 millones
El 16 de febrero, el protocolo DeFi Platypus Finance sufrió un ataque de préstamo relámpago que resultó en la pérdida de USD 8,5 millones del protocolo.
Un informe post-mortem del auditor Omniscia de Platypus señaló que el ataque fue posible debido a un código en el orden incorrecto.
El 23 de febrero, el equipo anunció que busca devolver alrededor del 78 % de los fondos del grupo principal mediante la reelaboración de monedas estables congeladas.
Página de compensación actualizada
¡Hemos actualizado nuestra página de compensación hoy! Si ha depositado o retirado tokens LP de nuestros agregadores de rendimiento antes de la pausa del grupo, el monto de su compensación se actualizará en consecuencia.
Más https://t.co/GfLIn5jmtF— Ornitorrinco (++) (@Platypusdefi) 3 de marzo de 2023
El equipo también confirmó los incidentes segundo y tercero, que dieron lugar a otros $667 000 explotados, lo que generó pérdidas totales de alrededor de $9,1 millones.
La policía francesa arrestó a dos sospechosos relacionados con el hackeo y confiscó alrededor de USD 222 000 en criptoactivos el 25 de febrero.
Financiamiento de la esperanza: 1,86 millones de dólares
Unos días después, los usuarios del proyecto de moneda estable algorítmica basado en el arbitraje, Hope Finance, fueron víctimas de un exploit de contrato inteligente el 20 de febrero, en el que se robaron aproximadamente $ 2 millones de los usuarios.
#AlertaComunitaria @esperanza_fin han anunciado que la comunidad ha sido estafada por ~ $ 2 millones, lo que hace que este sea el más grande #exitscam en Arbitrum en 2023.
Se transfirieron 1,86 millones de dólares a @TornadoCash.
Hope_fin ha publicado pasos para que los usuarios retiren su LP apostado https://t.co/hJbFXiKujt
— Alerta CertiK (@CertiKAlert) 21 de febrero de 2023
La empresa de seguridad de Web3, CertiK, señaló el incidente el 21 de febrero, luego de un anuncio de la cuenta de Twitter de Hope Finance que notificaba a los usuarios sobre la estafa.
Un miembro del equipo de CertiK le dijo a Cointelegraph en ese momento que el estafador había cambiado los detalles del contrato inteligente, lo que llevó a que los fondos fueran drenados del protocolo de génesis de Hope Finance:
“Parece que el estafador cambió el contrato de TradingHelper, lo que significa que cuando 0x4481 llama a OpenTrade en GenesisRewardPool, los fondos se transfieren al estafador”.
Dexible: $2 millones
El agregador de intercambio de cadenas múltiples Dexible fue atacado por un exploit que se dirigía a la función selfSwap de la aplicación, con una pérdida de $ 2 millones en criptomonedas como resultado del ataque del 17 de febrero.
Según una publicación del 18 de febrero del intercambio, “un pirata informático explotó una vulnerabilidad en nuestro contrato inteligente más nuevo. Esto permitió al pirata informático robar fondos de cualquier billetera que tuviera una aprobación de gasto no gastada en el contrato”.
Estimada comunidad de Dexible, lamentamos informarles que en la madrugada del 17 de febrero, un hacker explotó una vulnerabilidad en nuestro nuevo contrato inteligente. Esto permitió al pirata informático robar fondos de cualquier billetera que tuviera una aprobación de gasto no gastada en el contrato.
1/5
— Dexible (@DexibleApp) 17 de febrero de 2023
Después de investigar, el equipo de Dexible descubrió que un atacante había utilizado la función selfSwap de la aplicación para mover más de $2 millones en criptografía de usuarios que habían autorizado previamente a la aplicación para mover sus tokens.
Después de recibir los tokens en su propio contrato inteligente, el atacante retiró las monedas a través de Tornado Cash en billeteras BNB desconocidas.
Zona de lanzamiento: $700,000
El 27 de febrero, el protocolo de finanzas descentralizadas (DeFi) basado en BNB Chain, LaunchZone, drenó $700,000 en fondos.
De acuerdo a a la firma de seguridad de blockchain Immunefi, un atacante aprovechó un contrato no verificado para drenar los fondos.
“El implementador de LaunchZone había aprobado el contrato no verificado hace 473 días”, dijo Immunefi.
Relacionado: Las pérdidas por explotación de criptomonedas en enero registran una disminución interanual de casi el 93 %
Las cifras de febrero representan un marcado aumento con respecto a enero, según cifras de DefiLlama.
El rastreador enumera solo $ 740,000 en hacks a plataformas DeFi en el mes a través de dos protocolos: Midas Capital y ROE Finance.
En su Informe de delitos criptográficos de 2023, la firma de datos de blockchain Chainalysis reveló que los piratas informáticos robaron USD 3100 millones de los protocolos DeFi en 2022l, lo que representa más del 82 % de la cantidad total robada en el año.